Версии OpenClaw до 2026.2.24 содержат уязвимость обхода политики в оценке списка разрешений SafeBins, которая доверяет статическим каталогам по умолчанию, включая доступные для записи пути менеджера пакетов, такие как /opt/homebrew/bin и /usr/local/bin. Злоумышленник, имеющий доступ на запись в эти доверенные каталоги, может разместить вредоносный двоичный файл с тем же именем, что и разрешенный исполняемый файл, для выполнения произвольной команды в контексте среды выполнения OpenClaw.
Показать оригинальное описание (EN)
OpenClaw versions prior to 2026.2.24 contain a policy bypass vulnerability in the safeBins allowlist evaluation that trusts static default directories including writable package-manager paths like /opt/homebrew/bin and /usr/local/bin. An attacker with write access to these trusted directories can place a malicious binary with the same name as an allowed executable to achieve arbitrary command execution within the OpenClaw runtime context.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Openclaw Openclaw
cpe:2.3:a:openclaw:openclaw:*:*:*:*:*:node.js:*:*
|
— |
2026.2.24
|